# Gerenciamento e separação de contas da AWS
<a name="aws-account-management-and-separation"></a>

Recomendamos que organizar workloads em contas separadas e contas de grupo com base na função, nos requisitos de conformidade ou em um conjunto comum de controles, em vez de espelhar a estrutura hierárquica da sua organização. Na AWS, as contas são um limite rígido. Por exemplo, a separação no nível da conta é altamente recomendada para isolar as workloads de produção das de desenvolvimento e teste. 

 **Gerencie contas de maneira centralizada**: o AWS Organizations [automatiza a criação e o gerenciamento de contas da AWS](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_accounts.html), além do controle dessas contas após sua criação. Quando você cria uma conta por meio do AWS Organizations, é importante considerar o endereço de e-mail usado, pois esse será o usuário-raiz que permite que a senha seja redefinida. O Organizations permite agrupar contas em [unidades organizacionais (UOs)](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_ous.html), que podem representar ambientes diferentes com base nos requisitos e na finalidade da workload. 

 **Defina controles centralmente:** controle o que suas contas da AWS podem fazer, permitindo apenas serviços, Regiões e ações de serviço específicos no nível apropriado. O AWS Organizations permite usar políticas de controle de serviços (SCPs) para aplicar barreiras de proteção de permissão em nível de organização, unidade organizacional ou conta, que se aplicam a todos os usuários e perfis do [AWS Identity and Access Management](https://aws.amazon.com/iam/) (IAM). Por exemplo, você pode aplicar uma SCP que restrinja os usuários de iniciar recursos em regiões que você não tenha permitido explicitamente. O AWS Control Tower oferece uma maneira simplificada de configurar e controlar várias contas. Ele automatiza a configuração de contas no AWS Organizations, automatiza o provisionamento, aplica [barreiras de proteção](https://docs.aws.amazon.com/controltower/latest/userguide/guardrails.html) (que incluem prevenção e detecção) e fornece um painel para visibilidade. 

 **Configure serviços e recursos de maneira centralizada**: o AWS Organizations ajuda você a configurar [serviços da AWS](https://aws.amazon.com/organizations/features/) que se aplicam a todas as suas contas. Por exemplo, você pode configurar o registro em log centralizado de todas as ações executadas em toda a organização usando o [AWS CloudTrail](https://aws.amazon.com/cloudtrail/) e impedir que as contas-membro desativem o registro em log. Também é possível agregar dados de maneira centralizada para regras definidas usando o [AWS Config](https://aws.amazon.com/config/), o que permite auditar workloads quanto à conformidade e reagir rapidamente a alterações. AWS CloudFormation Os [StackSets](https://docs.aws.amazon.com/AWSCloudFormation/latest/UserGuide/what-is-cfnstacksets.html) permitem que você gerencie centralmente pilhas do AWS CloudFormation entre contas e UOs na sua organização. Isso permite provisionar automaticamente uma nova conta para atender aos seus requisitos de segurança. 

Use o recurso de administração delegada dos serviços de segurança para separar as contas usadas para gerenciamento da conta de faturamento organizacional (gerenciamento). Vários serviços da AWS, como GuardDuty, Security Hub e AWS Config, oferecem compatibilidade com integrações com o AWS Organizations, incluindo a designação de uma conta específica para funções administrativas.

**Topics**
+ [SEC01-BP01 Separar as workloads usando contas](sec_securely_operate_multi_accounts.md)
+ [SEC01-BP02 Proteger as propriedades e o usuário-raiz das contas](sec_securely_operate_aws_account.md)